界: Time and State

分散型計算とは、時間と状態に関するものです。つまり、複数のコンポーネントが通信するためには、状態を共有しなければならず、そのためには時間がかかります。

ほとんどのプログラマーは、自分の仕事を人であるかのように考えています。彼らは、自分で仕事をしなければならない場合、自分がするのと同じように、1 つのスレッドのコントロールでプログラム全体を実行することを考えます。しかし、最近のコンピュータは、タスクの切り替えが非常に速く、マルチコア、マルチ CPU、分散システムなどでは、2 つのイベントが全く同時に発生することもあります。不具合は、プログラマーが考えたプログラムの実行方法のモデルと、現実に起きていることとのギャップを埋めるために押し寄せます。これらの欠陥は、スレッド、プロセス、時間、および情報の間の予期せぬ相互作用に関連しています。これらの相互作用は、セマフォ、変数、ファイルシステムなど、基本的には情報を保存できるあらゆるものを含む共有状態を通じて行われます。

J2EE Bad Practices: Non-Serializable Object Stored in Session

Java/JSP

Abstract

シリアライズ可能ではないオブジェクトを HttpSession 属性として保存すると、アプリケーションの信頼性を損なう場合があります。

Explanation

J2EE アプリケーションはアプリケーションの信頼性と性能を向上させるために複数の JVM を使用します。複数の JVM を単一アプリケーションとしてエンドユーザーに見せるため、J2EE コンテナは HttpSession オブジェクトを複数の JVM にわたって複製します。こうすることで、1 つの JVM が利用できなくなった場合でも、アプリケーションを中断させることなく別の JVM が取って代わることができます。

セッションが作業を複製するために、セッションの属性としてアプリケーションが保存する値は Serializable インターフェイスを実装しなければなりません。

例 1: 以下のクラスはセッションに追加されますが、シリアライズ可能なクラスではないため、セッションを複製できなくなります。


public class DataGlob {
   String globName;
   String globValue;

   public void addToSession(HttpSession session) {
     session.setAttribute("glob", this);
   }
}

References

[1] The Java Servlet Specification Sun Microsystems

[2] The java.io.Serializable Interface Oracle

[3] MSC08-J. Do not store non-serializable objects as attributes in an HTTP session CERT

[4] Standards Mapping - Common Weakness Enumeration CWE ID 579

[5] Standards Mapping - OWASP Mobile 2014 M1 Weak Server Side Controls

[6] Standards Mapping - OWASP Top 10 2004 A3 Broken Authentication and Session Management

[7] Standards Mapping - OWASP Top 10 2007 A7 Broken Authentication and Session Management

[8] Standards Mapping - OWASP Top 10 2010 A3 Broken Authentication and Session Management

[9] Standards Mapping - OWASP Top 10 2013 A2 Broken Authentication and Session Management

[10] Standards Mapping - OWASP Top 10 2017 A2 Broken Authentication

[11] Standards Mapping - OWASP Top 10 2021 A07 Identification and Authentication Failures

[12] Standards Mapping - Payment Card Industry Data Security Standard Version 1.1 Requirement 6.5.3

[13] Standards Mapping - Payment Card Industry Data Security Standard Version 1.2 Requirement 6.5.7

[14] Standards Mapping - Payment Card Industry Data Security Standard Version 2.0 Requirement 6.5.8

[15] Standards Mapping - Payment Card Industry Data Security Standard Version 3.0 Requirement 6.5.10

[16] Standards Mapping - Payment Card Industry Data Security Standard Version 3.1 Requirement 6.5.10

[17] Standards Mapping - Payment Card Industry Data Security Standard Version 3.2 Requirement 6.5.10

[18] Standards Mapping - Payment Card Industry Data Security Standard Version 3.2.1 Requirement 6.5.10

[19] Standards Mapping - Payment Card Industry Data Security Standard Version 4.0 Requirement 6.2.4

[20] Standards Mapping - Payment Card Industry Software Security Framework 1.0 Control Objective 4.2 - Critical Asset Protection

[21] Standards Mapping - Payment Card Industry Software Security Framework 1.1 Control Objective 4.2 - Critical Asset Protection

[22] Standards Mapping - Payment Card Industry Software Security Framework 1.2 Control Objective 4.2 - Critical Asset Protection

desc.structural.java.j2ee_bad_practices_non_serializable_object_stored_in_session